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Schegge di Cassandra/ 0HM2013: l’hard disk vi guarda 


(296) - L’hack di Sprite TM dimostra come sia possibile accedere a porzioni 
inesplorate degli hard disk. E riporvi codice di ogni tipo, all’insaputa dell’utente, 
per gli scopi più terribili. 


16 agosto 2013—Cassandra mantiene sempre le promesse, e questa volta la 
cosa è oltretutto particolarmente facile. “Observe, Hack, Make” non si è ancora 
cristallizzato nella memoria della Rete (video e slide non sono ancora disponibili 
sul sito), ma il ricordo di questo divino seminario, “Hard Disk: molto più che 
semplici device a blocchi”, tenuto da Jeroen Domburg aka “Sprite TM”, cioè 
la persona dietro il noto sito di hacking Spritesmods.com, esige inesorabilmente 
di essere messo subito nero su bianco. 


In attesa quindi che sul sito di 0HM2013, in fondo alla pagina dell’intervento 
compaiano le slide scaricabili o il video dell’intervento (tutti i seminari sono 
stati videoregistrati), Cassandra cercherà di riassumere non i tecnicismi, ma la 
meraviglia che questi le hanno suscitato. 


Sprite TM ha infatti già pubblicato un ottimo articolo che contiene tutti i det- 
tagli tecnici: i lettori più competenti potranno perciò fermarsi qui ed abbeverarsi 
direttamente alla fonte della conoscenza. 


Per le persone normali invece Cassandra riassumerà, in termini più usuali il 
contenuto del seminario. 


Ripartiamo quindi dall’inizio: già nel 2005 anche un vecchio articolo di Cassan- 
dra profetava come l’industria dell’elettronica di consumo sfornasse oggetti che, 
oltre alla loro funzione primaria, contenevano risorse informatiche che permette- 
vano di realizzare) funzionalità “nascoste” agli utenti normali, come ad esempio 
la profilazione pubblicitaria o una geolocalizzazione silente. 


Dal 2005 tuttavia molta acqua è passata sotto i ponti, e molta strada è stata 
percorsa dall’industria elettronica. Consideriamo ad esempio un moderno hard 
disk da due Terabyte, che si compra ormai a meno di 100 euro ovunque. Visto 
nudo e crudo è un parallelepipedo di metallo con un circuito stampato da una 
parte ed una coppia di connettori dietro. Se collegato con un cavo chiamato 
SATA (Serial-ATA) ad un computer ed inserito dentro di esso, permette di 
installarvi sopra un sistema operativo e memorizzarvi un sacco di file di vario 
tipo. Tutto qui? Ovviamente no. 


Innanzitutto, da sempre, in tutti i device elettronici sono presenti, per motivi 
tecnici non maliziosi, modalità nascoste di accesso che permettono di aggiornare 
il firmware od eseguire operazioni diagnostiche. Spesso sul circuito stampato 
sono presenti aree inutilizzate dove è però possibile saldare una porta seriale, 
USB o una più moderna JTAG che non essendo fisicamente installate non sono 
utilizzabili dal loro proprietario... a meno che non sia un hacker. 


In quest’ultimo caso l’esame di particolare modello di un hard disk da 2 TB 
permette di vedere che sul circuito stampato sono presenti appunto una porta 
seriale ed una porta JTAG. 


Saldati sul circuito stampato fanno poi bella mostra di sé un chip RAM da 
64 Megabytes, una ROM contenente fino 256 Kb di firmware, cioè il software 
“nascosto” che controlla e fa funzionare l’hard disk, ed infine non una, non due 
ma dicasi tre CPU, inserite un un unico chip, quello del “controller” dell'hard 
disk stesso. 


Molto rozzamente, si potrebbe dire che dentro l’hard disk in questione ci sono 
tre computer, computer molto semplici, ma tre. 


L’autore del seminario ha cercato informazioni in Rete, informazioni che le in- 
dustrie elettroniche si guardano bene dal rendere pubbliche, ma che filtrano 
inevitabilmente nei forum e nelle mail list, ha saldato gli opportuni fili negli 
opportuni posti del circuito stampato dell’hard disk, e si è poi collegato ad esso 
sia via porta seriale che JTAG. Con un paziente ma nemmeno troppo lungo 
lavoro, durato 2 o 3 settimane, ha decodificato il funzionamento del firmware, 
si è accorto che una delle 3 CPU era praticamente sempre disoccupata, ed ha 
realizzato dei firmware modificati con “capacità nascoste”. 


Ha anche trovato modalità diagnostiche attivabili direttamente dal cavo SATA 
(e quindi da un semplice software caricato sul computer, magari un malware) 
che permettono di eseguire operazioni equivalenti senza nemmeno estrarre l’hard 
disk dal computer, o saldarci e collegarci alcunché. 


La prima funzionalità dimostrativa realizzata da Sprite TM è stata quella di 
modificare il firmware del disco in modo che, se sul disco stesso fosse stato 
installato Linux, fosse possibile a qualsiasi utente collegarsi come “root”. 


E’ sufficiente far arrivare all’hard disk, per esempio scrivendoci un file che la 
contenga, una stringa “magica”, nell'esempio del seminario “HD, root”, perché 
il firmware fornisca al sistema operativo un falso file di password, contenente 
la password di root scelta a piacere dall’utente. Un utente del sistema che 
contenga l’hard disk “taroccato” può cosi collegarsi come root e fare ciò che 
vuole. Il bello è che il file delle password per tutti gli altri utenti continuerà a 
contenere e mostrare la vecchia password. Una funzionalità del genere non può 
essere sradicata dall’hard disk riformattandolo o sovrascrivendone integralmente 
il contenuto. 


Ma è stata la seconda funzionalità nascosta realizzata che ha fatto cadere la 
mascella a Cassandra e scatenato un applauso a scena aperta da parte di alcune 


centinaia di persone. Sprite TM ha installato Linux “dentro” l’hard disk. Lo 
ripeto più lentamente, d-e-n-t-r-o l’hard disk, non sull’hard disk. 


Niente a che fare quindi col sistema operativo che l’utente installa sull’hard disk, 
qualsiasi esso sia, e niente a che fare con la CPU del computer.Il Linux installato 
“dentro” l’hard disk è memorizzato in maniera nascosta, e viene eseguito dalla 
CPU “disoccupata” dell'hard disk. Nella semplice versione mostrata, può essere 
controllato ed utilizzato tramite la porta seriale dell’hard disk. 


Inutile dire che il suddetto Linux è onnipotente nei confronti dell’hard disk 
stesso, ed invisibile a qualsiasi utente normale del computer, fosse pure un perito 
forense. 


E su questa strada si potrebbe continuare immaginando un hard disk su cui si 
può innescare una lenta autodistruzione tramite l’invio di una stringa “magica”, 
facendone corrompere poco alla volta il contenuto mentre l’ignaro possessore 
continua a lavorarci tranquillamente. 


Oppure un hard disk a prova di copia, che può essere usato normalmente, ma 
che si “accorge” di una lettura sequenziale eseguita allo scopo di clonarlo, e 
gli fornisce contenuti falsi o, tanto per drammatizzare, cancella tutti i propri 
contenuti. E, ricordiamolo, stiamo parlando di cose che avvengono “dentro” 
l’hard disk, senza coinvolgere il computer a cui è collegato, e che nemmeno una 
riformattazione può sradicare. 


Questa prima “Scheggia” termina qui. La paranoia era, resta e sarà sempre una 
virtù. 
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